Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /Create /TR "%APPDATA%\Roaming\ARHome\Updater.exe" /SC ONIDLE /TN "5FOFD9B73D6C-2CRMOI6" /I 1 /RL HIGHEST /f
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\Roaming\VolIE\Adsafe_32.dll"
- '%WINDIR%\regedit.exe' /s "<LS_APPDATA>\r.reg"
- '<SYSTEM32>\schtasks.exe' /Delete /tn "4CEFD9B73D6C-1CRMOI2" /f
- '<SYSTEM32>\schtasks.exe' /Create /TR "%APPDATA%\Roaming\ARHome\Updater.exe" /SC DAILY /TN "4CEFD9B73D6C-1CRMOI2" /ST 14:37:00 /du 0024:00 /RI 360 /RL HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /Delete /tn "5FOFD9B73D6C-2CRMOI6" /f
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
- iexplore.exe
- chrome.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12,14,1a,15,2a}'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12,14,1a,15,2a}'
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome.manifest
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\tabs_listener.js
- %APPDATA%\Roaming\VolIE\IE.zip
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\install.rdf
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\skin\vonteera.ico
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\main.xul
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\main.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\skin\Vonteera-48-48.png
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\prefs.js
- %APPDATA%\Roaming\VolIE\AdSafe_32.dll
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\XUL.mfl
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions-1.ini
- <LS_APPDATA>\Mozilla\Firefox\Profiles\zp7tnb55.default\startupCache\startupCache.4.little
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\search.sqlite-journal
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions.sqlite-journal
- %APPDATA%\Roaming\VolIE\onload.js
- %APPDATA%\Roaming\VolIE\AdSafe_64.dll
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js
- <LS_APPDATA>\r.reg
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\globals.js
- %APPDATA%\Roaming\ARHome\uninstall.exe
- <SYSTEM32>\Tasks\4CEFD9B73D6C-1CRMOI2
- %APPDATA%\Roaming\ext.crx
- %APPDATA%\Roaming\chrome-extension.localstorage
- %APPDATA%\Roaming\ARHome\Updater.exe
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs.jstmp
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\user.js
- %APPDATA%\Roaming\ARHome\Updater.zip
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\searchPlugins\VenteeRo.xml
- %APPDATA%\Roaming\ext\bg.html
- %APPDATA%\Roaming\ext\_locales\en\messages.json
- %APPDATA%\Roaming\ext\Vonteera-48-48.png
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\filesrv.js
- %APPDATA%\Roaming\addonVont.zip
- <SYSTEM32>\Tasks\5FOFD9B73D6C-2CRMOI6
- %APPDATA%\Roaming\ext\manifest.json
- %APPDATA%\Roaming\ext\main.js
- %APPDATA%\Roaming\ext\Vonteera-16-16.png
- %APPDATA%\Roaming\ext\Vonteera-128-128.png
Удаляет следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\search.sqlite-journal
- <LS_APPDATA>\r.reg
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs.js
Перемещает следующие файлы:
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\tabs_listener.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\tabs_listener.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\skin\vonteera.ico в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\skin\vonteera.ico
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\skin\Vonteera-48-48.png в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\skin\Vonteera-48-48.png
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs-1.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\install.rdf в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\install.rdf
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome.manifest в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome.manifest
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\globals.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\globals.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\filesrv.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\filesrv.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs.jstmp в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\prefs.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\prefs.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\prefs.js
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\main.xul в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\main.xul
- %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\staged\addon@Vonteera.com\chrome\content\main.js в %APPDATA%\Roaming\Mozilla\Firefox\Profiles\zp7tnb55.default\extensions\addon@Vonteera.com\chrome\content\main.js
Сетевая активность:
Подключается к:
- 'www.go#####analytics.com':80
- 's3######st-1.amazonaws.com':443
- 'localhost':49158
- 'localhost':49160
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK s3######st-1.amazonaws.com
- DNS ASK www.go#####analytics.com
Другое:
Ищет следующие окна:
- ClassName: 'FirefoxMessageWindow' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
